„Bad Epoll“: viena Linux branduolio spraga paverčia eilinį naudotoją root'u – ir jos nepastebėjo net AI

Liepos pradžioje saugumo bendruomenė ėmė garsiai kalbėti apie kuklią, bet nemalonią Linux branduolio spragą, pramintą „Bad Epoll“ (oficialiai – CVE-2026-46242). Jos esmė paprasta ir dėl to bauginanti: paprastas naudotojas be jokių ypatingų teisių gali tapti root – t. y. perimti visišką kompiuterio kontrolę. Kalbama ne apie egzotišką serverį, o apie tą patį branduolį, kuris sukasi milijonuose Linux serverių, darbastalių ir kiekviename Android telefone.

Lietuvos verslo kontekste tai nėra abstrakti naujiena. Beveik kiekvienas debesų VPS, „Docker“ konteineris, savarankiškai talpinamas web serveris ar bendro naudojimo hostingas veikia ant Linux. Tokia spraga yra klasikinis „antras žingsnis“ po įsilaužimo: užpuolikas, gavęs ribotą prieigą (pvz., per pažeidžiamą svetainę), ja pasinaudoja pakilti iki administratoriaus ir jau tada daryti ką nori.

Kas per zvėris tas „epoll“

epoll – tai Linux branduolio mechanizmas, leidžiantis vienai programai efektyviai stebėti tūkstančius jungčių ar failų vienu metu (ar atsirado duomenų, ar galima rašyti ir pan.). Be jo neįsivaizduojami didelio našumo serveriai: web serveriai, duomenų bazės, žinučių brokeriai. Būtent todėl epoll yra visur ir jo „išjungti“ tiesiog neįmanoma – tai ne priedas, o vienas iš pamatinių operacinės sistemos kirpimų.

„Bad Epoll“ priklauso use-after-free klaidų klasei. Supaprastintai: dvi branduolio dalys beveik tuo pačiu metu bando sutvarkyti tą patį vidinį objektą – viena atlaisvina atmintį, o kita tuo metu vis dar į ją rašo. Tokioje „lenktynių“ (race condition) situacijoje atmintis būna atlaisvinta, bet vis dar naudojama, ir kruopščiai suręsta ataka gali tą sugadintą atmintį panaudoti savo naudai – galiausiai išgauti root teises.

Techniniu požiūriu klaida slypi funkcijoje ep_remove(): failo nuoroda išvaloma, bet objektas dar naudojamas, o lygiagretus __fput() iškvietimas gali pamatyti trumpalaikę tarpinę būseną, praleisti valymo žingsnį ir atlaisvinti struktūrą, kuri dar reikalinga. Rezultatas – sugadinta branduolio atmintis.

Kodėl tai rimta

Kelios detalės šią spragą kelia iš „dar viena CVE“ kategorijos į „lopyk dabar“:

• Beveik garantuotas veikimas. Tyrėjas pademonstravo apie 99 % patikimumo ataką bandytose sistemose – tai retas prabangos lygis privilegijų eskalacijos pasaulyje, kur dažnai užtenka „kartais suveikia“.
• Pasiekiama iš naršyklės smėliadėžės. Pranešama, kad spraga pasiekiama net iš Chrome renderer sandbox – tai reiškia, kad ji gali tapti grandimi peržengiant naršyklės izoliaciją, o ne vien vietinio naudotojo įrankiu.
• Jokio apėjimo. Kadangi epoll negalima išjungti nesugriaunant sistemos ir naršyklės, laikino „workaround'o“ nėra. Vienintelis kelias – atnaujinti branduolį arba laukti distribucijos backport'o.
• Android taip pat. Tas pats branduolys sukasi telefonuose, tad potencialiai liečiami ir Android įrenginiai.

Spragą rado žmogus, o kaimynę – dirbtinis intelektas

Įdomiausia dalis – ne pati klaida, o kaip ji atsidūrė dienos šviesoje. „Bad Epoll“ aptiko saugumo tyrėjas Jaeyoung Chung ir pateikė ją per Google „kernelCTF“ programą, kuri už veikiantį Linux branduolio exploit'ą moka daugiau nei 71 000 USD. Tai griežtas, praktinis testas: reikia ne tik teoriškai aprašyti spragą, bet ir pademonstruoti realią, veikiančią ataką.

Bet čia yra antras sluoksnis, kuris tiesiogiai liečia AI temą. Tame pačiame nedideliame epoll kodo gabalėlyje neseniai buvo aptikta kita, gimininga lenktynių klaida – CVE-2026-43074. Ją rado Anthropic dirbtinio intelekto modelis Mythos, medžiodamas ydas branduolio kode. Tačiau šalia gulėjusią „Bad Epoll“ tas pats AI praleido – tikėtina, dėl itin siauro laiko lango, kurio automatinės priemonės beveik nepagauna.

Ši pora – puiki iliustracija, kur šiandien yra AI saugumo tyrimuose. Modeliai jau realiai randa tikras branduolio spragas (ne demonstracines), tą patį kodą peržiūri greičiau ir atkakliau nei žmogus. Bet subtiliausius, „mikrosekundės pločio“ atvejus vis dar geriau pastebi patyręs tyrėjas. Kitaip tariant: AI ir žmogus kol kas ne konkurentai, o skirtingi filtrai – ir saugiausia juos naudoti kartu.

Ilga tyla nuo pataisos iki triukšmo

Kita pamoka – apie laiko tarpą. Pataisa branduolyje atsirado dar pavasarį (commit'as datuojamas balandžio pabaiga), tačiau plačiai apie „Bad Epoll“ prakalbta tik liepos pradžioje. Be to, pranešama, kad pirmasis bandymas užlopyti spragą jos iki galo neišsprendė, ir teisingas pataisymas atėjo maždaug dviem mėnesiais vėliau.

Toks scenarijus – įprastas atviro kodo pasaulyje ir jis turi praktinę pasekmę: upstream branduolys gali būti seniai pataisytas, bet jūsų distribucijos (Ubuntu, Debian, RHEL ir kt.) ar debesų tiekėjo branduolys – dar ne. Būtent šitas atotrūkis tarp „pataisyta kažkur“ ir „pataisyta pas mane“ yra ta vieta, kur užpuolikai spėja pasinaudoti.

Ką daryti dabar

Konkretūs žingsniai, jei valdote Linux infrastruktūrą:

1. Atnaujinkite branduolį. Įdiekite naujausius savo distribucijos branduolio paketus ir, jei įmanoma, perkraukite arba naudokite live patching. Būtent branduolio, ne tik programų atnaujinimas čia yra esmė.
2. Patikrinkite debesų tiekėją. Jei sukate ant valdomo VPS ar konteinerių platformos, išsiaiškinkite, ar jų branduolys jau su pataisa – jūsų apt upgrade to gali nepaliesti.
3. Suvokite riziką bendrose sistemose. Didžiausias pavojus – ten, kur nepatikimi naudotojai ar procesai turi bent ribotą prieigą: bendro naudojimo hostingas, CI/CD runner'iai, daugiaklientės aplinkos.
4. Neužmirškite telefonų. Įdiekite Android saugumo atnaujinimus, kai tik jie pasiekia įrenginį.

„Bad Epoll“ nėra pasaulio pabaiga – nėra požymių apie masinį išnaudojimą, o pataisa egzistuoja. Tačiau tai geras priminimas, kad svarbiausios spragos dažnai slepiasi ne blizgančiose naujose technologijose, o sename, nuobodžiame, visur esančiame kode. Ir kad net kai dalį darbo perima dirbtinis intelektas, saugumas vis dar remiasi paprasta, bet dažnai apleidžiama higiena: laiku užsidėti atnaujinimus.